Юридическая информация
Политика раскрытия уязвимостей
Мы серьезно относимся к безопасности Вашего хранилища. Если Вы обнаружили уязвимость, мы хотим услышать о ней.
Мы не будем предпринимать юридических действий против исследователей безопасности, которые действуют добросовестно в рамках данной политики. Добросовестность означает: Вы прилагаете искренние усилия для предотвращения нарушений конфиденциальности, уничтожения данных и сбоев в работе сервиса.
Если Вы будете следовать этим рекомендациям, мы будем считать Ваше исследование авторизованным. Мы будем работать с Вами, чтобы быстро понять и устранить проблему.
В рамках политики рассматриваются:
- clavitor.ai — производственный веб-сайт
- *.clavitor.ai — все конечные точки хранилища в точках присутствия (POP)
- /api/ — REST API хранилища
- /app/ — веб-интерфейс хранилища
- clavitor-cli — агент CLI
- clavitor-proxy — HTTPS прокси для учётных данных
- Расширения для браузеров — Chrome, Firefox, Safari
Следующее находится вне рамок политики:
- Социальная инженерия сотрудников или пользователей
- Атаки типа "отказ в обслуживании"
- Физические атаки на инфраструктуру
- Сторонние сервисы (Paddle, Cloudflare)
- Автоматизированное сканирование, снижающее доступность сервиса
- Не получайте доступ, не изменяйте и не удаляйте данные из хранилища другого пользователя.
- Не снижайте доступность сервиса.
- Немедленно остановитесь и сообщите, если Вы обнаружите реальные пользовательские данные.
- Предоставьте нам разумное время для устранения проблем до любого публичного раскрытия.
- Используйте минимально необходимый доступ для демонстрации уязвимости.
Напишите по адресу security@clavitor.ai. Для конфиденциальных сообщений зашифруйте Ваше письмо с помощью нашего PGP-ключа.
Включите:
- Описание уязвимости и ее потенциального воздействия
- Шаги для воспроизведения
- Любой код доказательства концепции или скриншоты
- Подтверждение получения Вашего сообщения в течение 48 часов.
- Предоставление содержательной оценки в течение 7 дней.
- Будем держать Вас в курсе нашей работы над исправлением.
- Публично упомянем Вас на нашей странице благодарностей — если Вы не предпочитаете остаться анонимным.
Мы не проводим платную программу вознаграждений. Мы предлагаем нашу благодарность, публичное признание и знание того, что Вы помогли защитить личные данные реальных пользователей.